Périmètre du métier et différences vs métiers proches
En 2026, 76 % des entreprises françaises ont subi au moins une tentative de cyberattaque réussie, d’après le Baromètre CESIN 2026. La consultante en cybersécurité n’est ni une ingénieure réseau ni une responsable SSI. Elle intervient sur des missions de conseil, d’audit et de pilotage de la sécurité des systèmes d’information.
Son rôle se distingue de celui d’un expert technique pur. Elle analyse les risques, rédige des politiques de sécurité et accompagne la mise en conformité réglementaire. Contrairement à un pentester qui exécute des tests d’intrusion, elle évalue la maturité globale de l’organisation face aux cybermenaces.
Une consultante peut aussi travailler sur des missions de security by design en intégrant la sécurité dès la conception d’un projet. Elle est souvent rattachée à un cabinet de conseil ou à une direction informatique. Le métier requiert une double compétence : technique et juridique.
Les appellations voisines incluent auditrice en cybersécurité, consultante en gestion des risques numériques ou encore architecte sécurité. La frontière est mince, mais la consultante se concentre sur la stratégie et le conseil, pas sur l’exploitation quotidienne des outils.
Réglementation 2026
Le cadre normatif français et européen s’est durci. NIS 2 est entré en application intégrale en janvier 2025, avec des obligations renforcées pour les entités essentielles et importantes. La directive impose des notifications d’incidents sous 24 heures, des audits réguliers et des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
Le Décret n° 2024-1050 du 15 novembre 2024 a transposé NIS 2 en droit français, précisant les seuils et les secteurs concernés (énergie, transports, santé, numérique). La CNIL a publié une recommandation mise à jour en mars 2026 sur la gestion des violations de données. En 2024, l’ANSSI a enregistré 4 261 incidents de sécurité, en hausse de 18 % par rapport à 2023.
La convention collective applicable dépend du secteur. Pour les cabinets de conseil, la IDCC 3018 (convention collective Syntec) est la plus fréquente, avec des grilles de classification et des primes spécifiques. Dans l’industrie, la IDCC 3239 (métallurgie) s’applique souvent. Depuis 2025, le Règlement général sur la protection des données (RGPD) est toujours en vigueur et renforcé par des amendes record : 287 millions d’euros infligés en Europe en 2025 selon l’EDPB.
Les consultantes doivent maîtriser également le Règlement DORA pour le secteur financier, effectif depuis janvier 2025, qui impose des tests de résilience opérationnelle. La Loi de programmation militaire 2024-2030 oblige certains opérateurs à déclarer leurs prestataires de cybersécurité auprès de l’ANSSI.
Spécialités et sous-métiers
Le métier de consultante en cybersécurité recouvre plusieurs spécialités bien distinctes.
- Consultante en gouvernance, risque et conformité (GRC) : élabore les politiques de sécurité, pilote les analyses de risques et assure la conformité réglementaire.
- Consultante en sécurité opérationnelle : supervise les SOC (Security Operations Center) et coordonne la réponse aux incidents.
- Consultante en sécurité applicative : intervient sur le cycle de développement sécurisé (DevSecOps), audite le code et les APIs.
- Consultante en sécurité cloud : sécurise les architectures AWS, Azure, GCP, gère les politiques IAM et la protection des données.
- Consultante en intelligence des menaces (Threat Intelligence) : analyse les cybermenaces, produit des rapports et alimente les décisions stratégiques.
Stack technique et outils 2026
La consultante maîtrise une palette d’outils variés, allant de la gestion de SIEM à l’audit de configurations. Le choix dépend de la spécialité, mais certaines solutions dominent le marché français en 2026.
| Outil | Fonction principale | Éditeur | Part de marché France (source PAC 2025) |
|---|---|---|---|
| Splunk | SIEM et analyse de logs | Splunk Inc. | 12 % |
| Microsoft Sentinel | SIEM cloud natif | Microsoft | 18 % |
| Palo Alto Cortex XSIAM | Plateforme de sécurité étendue | Palo Alto Networks | 8 % |
| Tenable Nessus | Scan de vulnérabilités | Tenable | 22 % |
| Qualys | Gestion des vulnérabilités cloud | Qualys | 15 % |
| Wireshark | Analyse de paquets réseau | Open source | Non applicable |
D’autres outils comme Burp Suite (test d’intrusion web), Hashicorp Vault (gestion des secrets) et Terraform (infrastructure as code) sont fréquents. La connaissance des langages Python, PowerShell et Bash est aussi attendue.
Grille salariale détaillée 2026
Les rémunérations varient selon l’expérience, la spécialité et la localisation. Les données ci-dessous sont basées sur les enquêtes de l’APEC et du cabinet Robert Half 2026.
| Profil | Expérience | Salaire min | Salaire médian | Salaire max |
|---|---|---|---|---|
| Junior (consultante débutante) | 0-2 ans | 34 000 € | 38 000 € | 42 000 € |
| Confirmé (spécialiste GRC) | 3-5 ans | 42 000 € | 48 000 € | 56 000 € |
| Confirmé (spécialiste sécurité cloud) | 3-5 ans | 46 000 € | 52 000 € | 60 000 € |
| Senior (manager ou expert technique) | 6-10 ans | 58 000 € | 65 000 € | 78 000 € |
| Directrice de mission / associée | 10+ ans | 75 000 € | 90 000 € | 110 000 € |
À Paris, les salaires sont majorés de 15 à 20 %. Les primes de certification et les avantages (intéressement, participation) peuvent ajouter 5 à 10 % au package global. En province, les écarts se resserrent, notamment à Lyon, Toulouse et Rennes.
Formations et diplômes reconnus
L’accès au métier se fait principalement par des diplômes de niveau Bac+5 en cybersécurité ou informatique. Le RNCP niveau 7 est visé par la plupart des formations. France compétences recense 48 titres en cybersécurité en 2026.
- Mastère Spécialisé en Cybersécurité – IMT Atlantique (Rennes), labellisé SecNumedu par l’ANSSI.
- Master Cybersécurité et Droit du numérique – Université Paris-Saclay, double compétence juridique.
- Diplôme d’Ingénieur – INSA Centre Val de Loire ou Télécom Paris, avec spécialisation sécurité.
- MBA Spécialisé en Cybersécurité – EM Lyon, axé management des risques.
- Titre certifié “Concepteur en Cybersécurité” – EPSI, RNCP niveau 7, éligible CPF (à vérifier sur moncompteformation.gouv.fr).
Les écoles CY Cergy Paris Université et Université de Lille proposent également des parcours reconnus. Les passerelles avec les BUT Réseaux et Télécommunications ou Licence Pro Sécurité des SI existent pour les titulaires d’un Bac+2/3.
Reconversion vers ce métier
La cybersécurité attire de nombreux profils en reconversion. Le marché français manque de 15 000 professionnels selon l’Observatoire des métiers du numérique 2025.
- Développeuse : la maîtrise du code facilite l’accès à la sécurité applicative. Formation complémentaire de 6 à 12 mois via des bootcamps (ex. Ada Tech School, Simplon).
- Administratrice réseaux et systèmes : les compétences en infrastructure sont directement transférables. Une certification CompTIA Security+ suffit souvent pour débuter.
- Juriste en droit du numérique : la connaissance des réglementations (RGPD, NIS2) est un atout. Un mastère en cybersécurité permet d’acquérir la technique.
- Auditrice financière : les compétences en gestion des risques et en conformité sont valorisables. Une spécialisation cybersécurité via un CNAM ou un CESI est courante.
Des dispositifs comme le Compte Personnel de Formation (CPF) et le Projet de Transition Professionnelle (PTP) financent ces parcours. La POEI (Préparation Opérationnelle à l’Emploi Individuelle) de France Travail permet aussi des recrutements après une formation courte.
Exposition au risque IA
Le score CRISTAL-10 pour la consultante en cybersécurité est de 79,0 %. Ce score indique une exposition élevée à l’automatisation par l’intelligence artificielle. L’étude Eloundou et al. (2024) estime que 60 % des tâches de conseil en cybersécurité sont automatisables ou fortement assistées par l’IA.
Décomposition du score CRISTAL-10 selon les tâches :
- Analyse de logs et corrélation d’incidents : 87 % d’exposition (IA générative et machine learning).
- Rédaction de rapports d’audit : 72 % d’exposition (synthèse automatisée, LLMs).
- Veille sur les menaces : 78 % d’exposition (agrégation de flux, analyse sémantique).
- Tests d’intrusion automatisés : 65 % d’exposition (outils comme PentestGPT).
- Conseil stratégique : 45 % d’exposition (décision humaine encore dominante).
L’ILO (2025) prévoit que la demande en compétences de supervision IA augmentera de 28 % d’ici 2028. La consultante devra maîtriser les outils d’IA tout en gardant une valeur ajoutée sur les aspects juridiques, éthiques et contextuels.
Marché de l’emploi
Les chiffres du BMO France Travail 2026 indiquent 23 450 projets de recrutement dans la cybersécurité, dont 72 % jugés difficiles. La tension est très forte. La répartition régionale montre des disparités.
- Île-de-France : 41 % des offres, salaires 20 % au-dessus de la moyenne nationale.
- Auvergne-Rhône-Alpes : 15 %, pôle de compétitivité à Lyon et Grenoble.
- Occitanie : 12 %, dynamique à Toulouse (aéronautique, spatial).
- Bretagne : 8 %, portée par Rennes et Brest (cyberdéfense).
- Nouvelle-Aquitaine : 7 %, avec Bordeaux en croissance.
Les secteurs qui recrutent le plus : conseil (32 %), banque/assurance (24 %), industrie (18 %), services publics (14 %). Les cabinets comme Capgemini, Thales, Orange Cyberdefense et Airbus CyberSecurity sont les premiers recruteurs. Atos, en restructuration, reste un acteur majeur.
Certifications et labels
Les certifications renforcent la crédibilité et la employabilité. En 2026, les plus valorisées sont :
- CISSP (Certified Information Systems Security Professional) : reconnue mondialement, exige 5 ans d’expérience.
- CISM (Certified Information Security Manager) : axée gestion, prisée en GRC.
- Certification ANSSI “SecNumedu” : label pour les formations françaises, gage de qualité.
- CompTIA Security+ : porte d’entrée pour les juniors, valable 3 ans.
- CEH (Certified Ethical Hacker) : pour les spécialistes en tests d’intrusion.
- ISO 27001 Lead Implementer : utile pour les missions de conformité.
L’ANSSI a mis en place en 2025 un nouveau “Certificat de compétence en cybersécurité” (C3) destiné aux consultants, avec validation par un examen national. France Travail inclut ce certificat dans son catalogue des compétences recherchées.
Évolution de carrière
La progression suit des paliers clairs. À 3 ans, une consultante peut évoluer vers un rôle d’experte technique ou de cheffe de projet sécurité. À 5 ans, des postes de management ou de direction de mission sont accessibles. À 10 ans, une consultante peut devenir associée, directrice des risques, ou Responsable de la Sécurité des Systèmes d’Information (RSSI).
Trois listes d’opportunités selon l’horizon temporel :
Évolution à 3 ans
- Spécialisation en sécurité cloud (AWS Security Specialty).
- Encadrement d’un binôme de juniors.
- Obtention d’une certification CISSP.
- Participation à des appels d’offres.
- Rédaction de livrables stratégiques.
Évolution à 5 ans
- Poste de Manager Cybersécurité dans un cabinet (Syntec position 3.2).
- Direction d’une équipe de 5 à 10 consultants.
- Développement d’une offre de service (ex : audit NIS2).
- Mission à l’international (Europe, Afrique).
- Obtention d’un MBA ou d’un mastère en management.
Évolution à 10 ans
- Directrice des Risques (CRO) dans un grand groupe.
- Fondatrice d’un cabinet de conseil spécialisé.
- RSSI d’un groupe du CAC 40.
- Expertise reconnue par l’ANSSI (agrément de prestataire).
- Membre de comités de normalisation (AFNOR, ISO).
Perspectives du métier
La consultante devra intégrer l’IA générative dans ses outils pour l’analyse de threat intelligence et la génération de plans de remédiation. Les réglementations évoluent avec le Cyber Resilience Act pour les objets connectés en cours d’adoption au niveau européen, et la Politique nationale de cybersécurité prévoit la création de nombreux emplois supplémentaires. Les entreprises recrutent davantage de profils avec une double compétence, juridique et technique ou finance et cybersécurité. La demande pour les consultantes seniors dépasse largement l’offre disponible.